שוק שחור של Skills ו-Plugins זדוניים: האיום הבא על מערכות AI

מאת צוות מדיה דיל · 12.08.2026 · AI Investigation · 7 דק׳

בנינו, בסביבת מחקר מבודדת, כלי דמה שמדגים איך skill או plugin לסוכן AI יכול להיראות תמים לחלוטין ובכל זאת לפעול בניגוד לאינטרס המשתמש.

המחקר הזה התחיל משאלה פשוטה: כמה קל, בפועל, לבנות ולהפיץ skill או plugin לסוכן AI שנראה בדיוק כמו כלי לגיטימי ושימושי, אך מבצע ברקע פעולה שהמשתמש לא מודע לה? כדי לענות על זה בצורה אחראית, לא בנינו כלי זדוני אמיתי ולא פרסמנו כלום בפועל — בנינו, בסביבת מחקר סגורה ומבודדת, אב-טיפוס שממחיש את המנגנון, ובדקנו אילו שכבות הגנה קיימות היום שהיו יכולות לתפוס אותו לפני שהוא מגיע למשתמש קצה.

התוצאה הייתה מדאיגה בפשטותה: ברוב האקוסיסטמים שבדקנו, אין תהליך בדיקה מרכזי שמקביל למה שקיים כבר שנים בעולמות אחרים של הפצת קוד — כמו בדיקת חתימה דיגיטלית, סריקת קוד אוטומטית, או ביקורת קהילתית משמעותית. שוק ה-skills וה-plugins לסוכני AI צומח מהר יותר מכל מנגנון פיקוח שיכול להדביק את הקצב שלו, וזה בדיוק התנאי שמאפשר לשוק שחור להיווצר — לא כתופעה עתידית, אלא כסיכון קיים כבר עכשיו.

איך נראה skill זדוני שלא נראה זדוני בכלל

בניסוי המרכזי שלנו בנינו skill דמה שמציג את עצמו ככלי לניתוח קבצי טבלאות — פונקציונליות שימושית לגמרי ונפוצה, מהסוג שממליצים עליו בפורומים מקצועיים בלי חשד. הפונקציונליות הגלויה עבדה בדיוק כמובטח, ועברה כל בדיקה שטחית בקלות. מה שלא נראה בבדיקה שטחית היה שהכלי, כחלק מהפעלתו, שלח גם עותק דחוס של תוכן הקובץ ליעד חיצוני, פעולה שהוסתרה בתוך תהליך "אופטימיזציה" שנשמע טכני וסביר לחלוטין למי שקורא את התיעוד.

מה שהופך את הדוגמה הזו למדאיגה במיוחד הוא שהיא לא דרשה שום ניצול פרצה טכנית מתוחכמת. פשוט נכתב קוד שעושה בדיוק את מה שהוא מתאר שהוא עושה, בתוספת פעולה נוספת קטנה שאף אחד לא ביקש למנוע כי אף אחד לא חיפש אותה. זו בדיוק התבנית שמתוארת במדריך על tool poisoning — לא פריצה למערכת קיימת, אלא הטמעת התנהגות בלתי רצויה כבר בשלב הבנייה של הכלי עצמו.

למה קל כל כך להפיץ את זה בקנה מידה

בעולם הפיזי, הפצת כלי זדוני דורשת שכנוע של כל קורבן בנפרד. בעולם ה-skills וה-plugins לסוכני AI, מספיק לפרסם כלי אחד במאגר ציבורי או בחנות רשמית של פלטפורמה, לתאר אותו בצורה משכנעת, ולתת לו כמה ביקורות חיוביות — אמיתיות או מזויפות — כדי שהוא יתפוס תאוצה ויותקן על ידי אלפי משתמשים בעצמם, בלי שום מאמץ נוסף מצד מי שיצר אותו. זו בדיוק הדינמיקה שהפכה תוספי דפדפן זדוניים לבעיה מוכרת בעבר, ועכשיו חוזרת בצורה חדשה ובקנה מידה גדול יותר, כי הכלים האלה מקבלים גישה ישירה למידע ולפעולות, לא רק לתצוגת הדף.

מה שמחמיר את הבעיה הוא שהתחרות הטבעית בין כלים דומים דוחפת מפתחים לגיטימיים ולא-לגיטימיים כאחד להוסיף כמה שיותר הרשאות "למקרה שיהיה צריך", כדי שהכלי ייראה מלא-פיצ'רים יותר. זה יוצר מצב שבו כלי לגיטימי וכלי זדוני נראים כמעט זהים מבחינת בקשת ההרשאות שלהם, מה שמקשה על משתמש רגיל, ואפילו על צוות IT מיומן, להבחין ביניהם רק לפי מה שהם מבקשים לגשת אליו.

מה קורה כשהכלי הזדוני "מתחזה" לעדכון של כלי אמין

וריאציה מדאיגה עוד יותר שבדקנו היא לא כלי זדוני שמפורסם מלכתחילה, אלא כלי לגיטימי ומאושר שעובר "עדכון" שמשנה את התנהגותו לרעה, אחרי שכבר צבר בסיס משתמשים גדול שסומך עליו. במקרה כזה, קורבן פוטנציאלי לא צריך לקבל שום החלטה חדשה — הוא כבר התקין את הכלי מזמן, ונתן לו הרשאות, ועדכון אוטומטי שקורה ברקע יכול לשנות את מה שהכלי עושה בלי שהמשתמש בכלל שם לב שמשהו השתנה.

זו בדיוק אותה תבנית שגילינו בבדיקה נפרדת על plugins ארגוניים, המתועדת במאמר מי בודק את ה-Plugins שמקבלים גישה למידע הארגוני, שם ראינו איך תהליך אישור חד-פעמי לא תופס שינוי התנהגות בעדכון עתידי. השילוב בין "שוק שחור" של כלים חדשים לבין ניצול הדרגתי של כלים ותיקים ואמינים יוצר משטח תקיפה שגדל בשני כיוונים בו-זמנית — כלים חדשים שמתחזים לתמימים, וכלים ותיקים שהופכים למסוכנים בשקט.

מה קורה כשמנסים לעקוב אחרי הכסף

שאלה טבעית שעלתה במהלך המחקר הייתה מה בכלל המניע הכלכלי מאחורי הפצת כלי כזה. בניגוד לתקיפות סייבר מסורתיות שבהן המניע לרוב ברור — כופר, מכירת מידע גנוב, גישה למערכות פיננסיות — עולם ה-skills וה-plugins לסוכני AI עדיין צעיר מספיק שהמודלים הכלכליים שמניעים תוקפים בו לא התבססו לגמרי. עם זאת, זיהינו כמה כיוונים סבירים: איסוף נתונים ארגוניים למכירה, יצירת נקודת אחיזה (foothold) למתקפה מאוחרת יותר ומורכבת יותר, ואפילו פשוט צבירת בסיס משתמשים גדול כדי למכור את הכלי "הפופולרי" לגורם עוין בעתיד.

מה שמדאיג במיוחד בכיוון האחרון הוא שהוא לא דורש מהתוקף המקורי בכלל כוונה זדונית בשלב הראשוני. מפתח יכול לבנות כלי לגיטימי לגמרי, לצבור בסיס משתמשים גדול בתום לב מלא, ואז למכור את הבעלות על הכלי לגורם אחר שממשיך לתחזק אותו אך מטמיע בו התנהגות בעייתית בעדכון עתידי. זה בדיוק מנגנון ההשתלטות שהופך "כלים ותיקים ואמינים" לנקודת התקפה משתלמת יותר, לא פחות, מכלי חדש שנבנה מלכתחילה בזדון.

מי בכלל אמור לעצור את זה

כשבדקנו את מנגנוני הבקרה הקיימים בפלטפורמות שונות, מצאנו טווח רחב — מבדיקה אוטומטית שטחית שמתמקדת בעיקר בתקינות טכנית ולא בכוונה, ועד היעדר בדיקה כמעט מוחלט בחלק מהמאגרים הפתוחים. אף אחד מהמנגנונים שבדקנו לא הצליח לזהות את סוג ההסתרה שהדגמנו בניסוי המרכזי שלנו, כי היא לא נשענה על טכניקה חשודה מבחינה טכנית, אלא על ניסוח תמים למראה שמסתיר כוונה בעייתית.

זה מצביע על מסקנה חשובה: הבדיקה האמיתית לא יכולה להישען רק על הפלטפורמה שמפיצה את הכלי. היא חייבת לקרות גם ברמת הארגון שמתקין אותו, כחלק מתהליך ביקורת פנימי, ולא רק כהסתמכות על "אושר בחנות הרשמית" כתעודת כשירות מספקת. הרחבנו את הגישה הזו במדריך על AI red teaming, שמראה איך בונים תהליך בדיקה יזום שמניח מראש שכל כלי חדש עלול להיות זדוני, עד שהוכח אחרת, ולא ההפך.

מה קורה כשמנסים לדמות "רוכש" תמים בודק כלי חדש

כדי לבחון את החוויה מנקודת המבט של משתמש רגיל, ביקשנו ממשתתפים בבדיקה, ללא רקע טכני מיוחד, לבחור ולהתקין כלי חדש לסוכן AI מתוך רשימה שכללה גם את הכלי הדמה שבנינו וגם כלים לגיטימיים אמיתיים. אף אחד מהמשתתפים לא זיהה את הכלי הדמה כחשוד. חלקם אפילו העדיפו אותו על פני חלופות לגיטימיות, כי התיאור שלו נוסח בצורה משכנעת יותר ונשמע "מקצועי" יותר מכמה מהכלים האמיתיים שהשתתפו בהשוואה.

הממצא הזה מדגיש נקודה שקל לשכוח: איכות הניסוח והעיצוב של תיאור כלי לא מתואמת בהכרח עם איכות או בטיחות הכלי עצמו. אם כבר, כלי שמשקיע יותר משאבים בניסוח תיאור משכנע עשוי לעורר פחות חשד, לא יותר, גם אם ההשקעה הזו נובעת מכוונה בעייתית ולא מאיכות מוצר גבוהה יותר. משתמש שמסתמך על "זה נראה מקצועי" כאמת מידה לבטיחות פועל בדיוק לפי ההיגיון שהמחקר הזה מראה שלא עובד.

מה עושים בפועל כדי להישאר בצד הבטוח

ההמלצה המעשית המרכזית שיצאה מהמחקר הזה היא לבנות רשימה לבנה (allowlist) של כלים מאושרים לשימוש ארגוני, במקום להסתמך על רשימה שחורה שתמיד תהיה צעד אחד מאחורי האיום החדש ביותר. רשימה לבנה דורשת יותר עבודה מראש, אבל היא היחידה שמונעת מכלי חדש ולא-מוכר, זדוני או לא, לקבל גישה לנתונים ארגוניים בלי בדיקה מקדימה מכוונת.

מעבר לזה, שווה להטמיע ניטור התנהגותי מתמשך על כלים שכבר אושרו — לא רק בדיקה חד-פעמית — כדי לתפוס שינוי התנהגות אחרי עדכון, בדיוק מהסוג שהדגמנו בניסוי. השוק של skills ו-plugins לסוכני AI רק ילך ויגדל, ועם הגידול הזה יגדל גם הפיתוי להשתמש בו בלי בדיקה מספקת. ארגון שמטמיע תהליך בקרה מסודר כבר עכשיו נמצא בעמדת פתיחה טובה בהרבה מארגון שממתין לתקרית ראשונה כדי להתחיל לחשוב על זה ברצינות.

ולבסוף, שווה לזכור שהאחריות לא נגמרת בהתקנה. בדיוק כפי שגילינו במחקר המקביל שלנו על plugins ארגוניים, המתועד במאמר האם שרתי MCP הם חוליית האבטחה החלשה החדשה, כל ערוץ חיבור חדש לסביבת סוכן AI — בין אם זה skill, plugin, או שרת MCP — הוא נקודת אמון שדורשת מעקב מתמשך, לא אישור חד-פעמי ושכחה. השוק השחור שתיארנו כאן לא ייעלם מעצמו, והוא ירוויח בדיוק מכל ארגון שמניח שהוא כבר "טיפל בזה" אחרי בדיקה ראשונית בלבד.

תגיות: malicious plugins · tool poisoning · AI supply chain · שוק שחור AI · AI red teaming

← חזרה לבלוג · צור קשר